Este programa é da responsabilidade da S+A Saraiva e Associados. Este é o "Unlocker", o podcast da Saraiva e Associados, produzido pela S+ Academy. Dois convidados compartilham as suas visões sobre a transformação das cidades, a sustentabilidade, as tendências económicas, sociais e culturais que se cruzam com a arquitetura, o design e o planeamento urbano. Neste episódio falamos sobre a proteção de um valioso ativo das organizações, o seu património digital, a cibersegurança e a indispensável literacia tecnológica para a proteção de dados informáticos, com José Pereira, diretor de Tecnologias de Informação, Segurança e Transformação Digital da Novo Eis, e Luís Barros, arquiteto e administrador da S+A.

José Pereira, boa tarde.

Olá, Luís.

Bem-vindo à Saraiva e Associados. Vamos hoje falar um pouco acerca de cibersegurança, que é um tema que me suscita alguma curiosidade e gostaria de ter uma ideia profissional de como é que nós estamos a nível de cibersegurança, por exemplo, no ano 2022, ficarmos aqui com uma ideia genérica.

Obrigado, Luís, pelo convite. É um gosto estar aqui. A verdade é que a cibersegurança é um tema apaixonante, portanto, pare-me quando for necessário, porque este tema, de facto, é um tema que me entusiasma muito. E ainda bem que começámos por tentar fazer uma análise relativamente a como correu 2022. E, para simplificar a discussão, nunca tivemos um ano com tantos ataques, tão bem-sucedidos, com tanta complexidade como 2022. Portanto, na prática, 2022 foi absolutamente marcante do ponto de vista de cibersegurança. Também, e a acrescentar, com o tema da guerra Rússia-Ucrânia, que verdadeiramente não veio ajudar, até porque os ataques, do ponto de vista de cibersegurança à Ucrânia, começaram muito antes da própria guerra em termos mais tradicionais e que, na prática, marcou verdadeiramente o ano de 2022. Também motivado pelo tema da guerra, verdadeiramente, houve uma escalada de ataques, nomeadamente a infraestruturas públicas, e claramente, este foi um dos pontos que marcou 2022. Outro ponto igualmente interessante e que também acaba por bater no tema da guerra é que mesmo os hackers do lado do mal também se juntaram para ajudar a Ucrânia na defesa. Portanto, aqui nestas coisas há, de facto, aspetos interessantes. Depois entramos nas componentes mais de quantificação. Nunca se investiu tanto em capacitação tecnológica, recursos humanos, processo e procedimentos como em 2022, ou seja, o investimento foi absolutamente brutal em termos de cibersegurança e a expectativa é que continue com ritmos de crescimento nas duas casas, ano sobre ano. Adicionalmente, outro aspeto igualmente interessante é do ponto de vista do retorno do negócio de crime de cibersegurança. Eu não sei se o Luís tem uma ideia de quanto é que poderá valer o negócio de cibercrime.

A ideia que nós temos, ao fim e ao cabo, dos meios de comunicação, que é a informação que nos chega, não é?

Há uma quantificação interessante, eu não me recordo agora de qual é a entidade, mas estima-se que em 2022 o negócio do crime já tenha rendido qualquer coisa como o equivalente ao PIB do décimo ou do nono país com maior PIB mundial.

O crime ligado à cibersegurança?

O crime ligado à cibersegurança, o revenue do lado do crime, é o equivalente, não sei se é o décimo ou nono PIB do ponto de vista de dimensão a nível mundial, o que é absolutamente inacreditável. Este é o panorama mundial. Quando olhamos para Portugal, foi também um ano absolutamente marcante. Tivemos um ataque muito conhecido a uma infraestrutura pública de comunicações, que verdadeiramente foi dramático do ponto de vista de impacto nos clientes residenciais e nos clientes empresariais. E é um caso excelente relativamente à forma como verdadeiramente a cibersegurança está a mudar em relação à forma como o board das organizações lideram e assumem o tema de cibersegurança. Se repararmos, além da componente efetiva do impacto que o ataque teve nessa companhia de infraestruturas de comunicações, o que é que nós podemos ver? Primeiro, uma resposta absolutamente brilhante do ponto de vista de comunicação, do ponto de vista de marketing, da forma como o CEO veio assumir o ataque, da forma como o CEO falou diretamente para os clientes assumindo o problema, da forma como o CEO foi capaz de ir dando reporting, muitas vezes a nível nacional, ao longo daqueles dias, a forma como as empresas concorrentes prestaram apoio e se voluntariaram para prestar apoio e para ajudar essa empresa na recuperação, a forma como, pós-ataque, uma campanha absolutamente brilhante a agradecer a todos os envolvidos, incluindo clientes, pelo papel. Isto, de facto, reflete o quão importante o tema da cibersegurança é hoje e verdadeiramente Como é que o tema de cibersegurança está na agenda das administrações.

Eles estariam preparados, então.

Ou seja, na prática, há muitas coisas em que estavam preparados. E estas coisas trabalham-se.

Foi tudo bem feito e, portanto, havia preparação.

Havia simulação, ou seja, houve resposta. Claro que nós podemos sempre dizer, e é sempre a pergunta do milhão, que é verdadeiramente, pós-ataque, o que é que de fato aconteceu para serem atacados, mas verdadeiramente, há que enaltecer a forma como todo este processo aconteceu, a forma como a comunicação foi gerida, a forma como, apesar do impacto, se tentou capitalizar a forma como, do ponto de vista de marca, o processo foi gerido, a forma como se vendeu a importância da resiliência, a forma como se vendeu a importância do digital trust, a forma como o próprio CEO assumiu que este era um momento marcante para a empresa, mas que, na prática, contava com todos para ultrapassar, foi absolutamente brilhante. E da mesma forma, quando olhamos para o caso da empresa, mesmo processo, ou seja, na prática, quando de um momento para outro, um negócio altamente digital deixa de contar com qualquer recurso da área de tecnologias de informação e tem que voltar 20 anos atrás para começar e para fazer impressão, para fazer edição, para fazer comunicação de TV. Foi marcante.

Eu pelo menos esse tive mais contato, porque realmente a maneira como eles voltaram rapidamente aos métodos anteriores para conseguirem manter o serviço e conseguirem estar a funcionar e publicando, ou seja, mantendo o público ao corrente, isso por acaso acompanhei. Foi interessante. Deve ter sido um esforço completamente inacreditável.

E mais uma vez, além da questão técnica associada, o que é que nós podemos constatar do ponto de vista de comunicação, do ponto de vista da forma como de ponto de vista de relações públicas lidamos com o tema, a forma como no final do dia capitalizamos isso, no sentido de nós no final termos uma empresa mais forte depois do ataque, a forma como a resiliência é falada em termos de cibersegurança. Portanto, verdadeiramente, estes são os casos que me deixam muito mais otimista relativamente ao tema da cibersegurança, porque no meio destes desastres, que naturalmente têm impactos absolutamente dramáticos nas empresas e que marcam a forma como as empresas vão reagir nos próximos tempos, a verdade é que temos muitos sinais positivos. Portanto, nós temos que nos focar nesses.

Sim, muitas outras haverá que a gente nem sequer teve conhecimento. Pelo menos, às vezes fala-se, vai-se ouvindo, vai-se lendo algumas situações que não foram talvez tão bem geridas e que criam alguma insegurança e até algum alarmismo, exatamente porque não são diretamente comunicadas.

O meu entendimento é que há duas ou três layers de organizações e a forma como, do ponto de vista de comunicação e do ponto de vista de tentar passar esta informação de forma transparente, nem sempre as organizações reagem da mesma forma. Quando estamos a falar de organizações verdadeiramente grandes, tier 1, tier 2, eu diria que não revelar de forma transparente a informação é claramente algo que hoje em dia não pode acontecer. Quando começamos a ir para empresas mais pequenas, aqui, muitas vezes é uma discussão que não é fácil. Muitas vezes o nível de preparação das empresas é, infelizmente, ainda menor e muitas vezes são estas empresas que acabam por pagar os resgates.

Essa é uma questão que eu ia colocar.

Porque, na prática, nós não podemos assumir, não podemos aceitar que uma empresa de grande dimensão vá alguma vez pagar o resgate. Isto não significa, e nós sabemos que algumas pagaram. Mas do ponto de vista de entendimento, o que nós temos que considerar é que as empresas grandes claramente não podem pagar. É uma questão da mensagem que passamos e é uma questão de, ou seja, isto tem que ser absolutamente claro. À medida que vamos descendo no tamanho das organizações e na visibilidade das organizações, naturalmente, a tendência para pagar é maior. Agora, a nossa recomendação é sempre não pagar.

Pois, é o que eu tenho ouvido realmente também que, face a uma situação destas, que a primeira coisa a fazer é exatamente não pagar, porque não há garantia nenhuma, no caso do ransomware, que pagar tenha qualquer tipo de resultado e estamos a alimentar ao fim ao cabo o sistema negativo.

Exatamente, aplica-se o mesmo princípio dos outros grandes crimes. Portanto, essa é a recomendação. Claro que, a dada altura, quando temos uma organização, nomeadamente uma mais pequena, que de um momento para outro ficou totalmente vulnerável e verdadeiramente não tem nada que consiga recuperar daquela que era a sua arquitetura, aí, de fato, nós temos que compreender a decisão. Naturalmente, não é algo que nós façamos do ponto de vista daquilo que recomendamos aos nossos clientes, daquilo que recomendamos às empresas que nos pedem ajuda após ataque. Mas de qualquer forma, sabemos que é um cenário e sabemos que naturalmente faz parte da equação esta variável.

Portanto, estamos com 2022, que para além desse universo relacionado com a guerra, e é sabido que alguns países têm até algumas, ou fala-se que terão algumas entidades que acabam por patrocinar esse tipo de ação, apareceu Portugal. Quer dizer, foi o ano em que se viu em Portugal as empresas e instituições serem diretamente atacadas e, se calhar, ou nós não sabíamos do que havia antes.

Já tínhamos, ou seja, na prática, claro que a evolução em Portugal em 2022 não foi diferente da evolução a nível mundial. Ou seja, na prática, o crescimento que nós tivemos Foi, do ponto de vista comparativo, semelhante ao que aconteceu a nível internacional. Agora, o que me parece que verdadeiramente mudou e alinha com a interpretação que o Luís está a fazer, é o fato de termos tido algumas empresas de grande exposição, nomeadamente as que têm a ver com infraestruturas críticas. Isto sim, muda a perceção, porque na prática o impacto é de tal forma grande na vida das empresas e na vida das pessoas, que verdadeiramente esses casos mudam. Eu diria que não há ninguém, mesmo as pessoas menos informadas, que não tenha tido total visibilidade do que aconteceu com a empresa, do que aconteceu com a Vodafone e, na prática, isto muda e ainda bem. Naturalmente, é através deste tipo de conscientização que conseguimos elevar o nível de maturidade em cibersegurança das organizações. Nessa perspetiva, esse entendimento que o Luís tem, coincide com o meu entendimento e verdadeiramente estes passos, são os passos que permitem que hoje em dia, claramente o tema esteja no board e esteja na direção de alto nível, que naturalmente é um ponto absolutamente central para conseguirmos elevar a maturidade da cibersegurança, quer ao nível do país, quer ao nível das organizações. Eu diria que esse passo e esse movimento, apesar de tudo, vai no bom sentido.

Claro que é. Temos aqui este universo que é relacionado com a empresa, mas leio com muita frequência algumas pessoas dizerem que isto, na realidade, é as pessoas. Ou seja, o ponto de "fraqueza", de onde a coisa pode quebrar mesmo verdadeiramente, acaba por ser o indivíduo, a pessoa, e isso se calhar carece aqui de alguma formação. Não sei se isso é uma verdade, isso vem daquela leitura normal que a gente tem, quando se brinca, por exemplo, com a qualidade das passwords que as pessoas usam.

É absolutamente verdade. Na prática, 70% dos ataques têm uma causa raiz ou um início derivado alguma forma do fator humano. E na prática, uma das discussões interessantes é o Luís foca na conscientização e na forma como sendo o fator humano um fator preponderante na forma como somos atacados, nós também gostamos de ver a coisa noutra perspetiva, que é ao mesmo tempo que muitos ataques entram pelo fator humano, temos que ver como é que nós conseguimos capitalizar as nossas pessoas para estarem na primeira linha de batalha em relação ao cibercrime. Este é um primeiro ponto que é nós temos que deixar de falar na perspetiva de muitos incidentes acabam por acontecer motivados pelo fator humano, mas vamos ter o discurso ao contrário, que é como é que nós podemos garantir que as pessoas, dessa mesma forma.

Estão capacitadas.

Estão capacitadas e são a nossa primeira linha de defesa. Esta é uma primeira orientação. Outra discussão interessante é de que forma tudo isto nos impacta também na vida pessoal e como é que na prática, passar disto, da nossa vida pessoal para as organizações, é só uma questão de escalar e de perceber que em muitos casos estamos a falar, no nosso caso, de uma pessoa, e nas organizações estamos a falar de centenas ou milhares de pessoas. E aqui, tocando até no ponto que o Luís referiu das passwords, o que é que nós podemos fazer enquanto cidadãos naquilo que fazemos, naquela que é a nossa interlocução normal com as tecnologias de informação, o que é que nós podemos fazer para de facto melhorar a nossa segurança? Vamos falar das coisas básicas. Primeiro, o tema das passwords. Continuamos a apanhar clientes e pessoas individualmente que têm passwords absolutamente básicas do ponto de vista do processo. Isto é algo relativamente básico. Outras coisas relativamente básicas: não usar os mesmos logins e passwords para tudo. Outra coisa relativamente básica: não usar, no mesmo contexto, e-mails e passwords profissionais para contextos pessoais. Não aceder a sites suspeitos. Não usar Wi-Fis públicos para informação sensível. Ter um backup dos nossos dados pessoais, ou seja, hoje na prática existem inúmeras soluções na cloud que permitem com que eu garanta o backup, quer seja documentos, quer seja fotografias, quer seja contactos, quer seja músicas, todo o meu histórico. Hoje, na prática, da mesma forma que para as empresas temos soluções evoluídas de backup e disaster recovery e afins, hoje não há nenhuma razão para nós enquanto indivíduos não estarmos salvaguardados e protegidos nessa perspetiva. Depois, continuando esta evolução, garantir que os nossos PCs têm as soluções de software atualizadas. Garantir que temos um antivírus absolutamente de última geração e atualizado. Garantir que o nosso disco se encontra encriptado.

Isso aí já é uma coisa que começa a ser...

Na prática, é o que nós chamamos ciber higiene para as empresas, mas na prática, para nós particulares, tem que ser a mesma coisa. E na prática, se juntarmos a tudo isto, falta aqui uma componente que é termos que estar sempre alertas. Ou seja, na prática, eu dou sempre o exemplo do príncipe da Nigéria que nos envia um e-mail a dizer que a sua fortuna de 20 milhões, que está aberto a partilhar essa fortuna connosco. E eu costumo sempre dizer, a probabilidade de um príncipe da Nigéria querer partilhar a sua fortuna connosco é mais.

No mínimo.

No mínimo. Significa que na prática, estarmos alertas É claramente um ponto absolutamente fundamental. Tudo aquilo que nós hoje, enquanto indivíduos, recebemos de phishing, de SMS a referir que tem uma encomenda, a referir que a EDP enviou uma fatura pra cobrança ou agora, o mais recente, que temos uma multa e que se pagarmos hoje tem 50% de desconto, a partir de amanhã aumenta. Tudo isto, temos sempre que estar alertas e garantir que verdadeiramente somos cautelosos e conseguimos fazer uma análise criteriosa em relação à informação que temos. Tão simples quanto isso. E na prática, quando passamos desta análise da esfera pessoal para as organizações, é só um efeito escala.

Pois, a pessoa já leva a postura e a forma de atuar. Isso faz todo sentido.

O ponto base é o mesmo. Depois, o que é que temos quando começamos a discutir as organizações? De facto, a conscientização continua a ser, e começa por ser, o ponto principal. E aqui, um dado extremamente interessante é: em muitos dos nossos clientes, fazemos uma campanha de phishing, um daqueles e-mails suspeitos que nós muitas vezes recebemos. Nós tentamos simular essa campanha enviando este e-mail de phishing e procurando que os utilizadores coloquem as credenciais. E a verdade é, mesmo em empresas de grande dimensão, que investem muito dinheiro na conscientização, o número de utilizadores que acabam por colocar as credenciais continua a ser muito alto. Este é o primeiro ponto de partida, que é: nós temos que ter a noção que verdadeiramente o ponto de partida é este. E tudo que nós fazemos quando verdadeiramente lançamos uma campanha, vemos que muitos dos nossos utilizadores colocaram as credenciais, o que é que nós temos que fazer com esta informação? Temos que garantir que todas as pessoas que clicaram e que verdadeiramente colocaram as credenciais, são obrigadas a fazer uma formação, são obrigados a fazer um teste de validação e vamos repetir este processo. E hoje em dia, a sofisticação das campanhas de phishing que nós podemos fazer é absolutamente inacreditável. E é inacreditável da mesma forma que o cibercrime usa esta informação. E este é que é o ponto de partida. Nós temos exemplos concretos. Há uma empresa de grande dimensão que está a mudar de escritórios. O cibercrime sabe desta informação, prepara um e-mail de phishing com essa informação, do tipo: "Caro utilizador, sabendo que vamos mudar de instalações no próximo mês, queira por favor colocar as credenciais de forma a garantir que no dia da mudança para o novo escritório continua a ter acesso à rede Wi-Fi e afins". Isto, de facto, é uma sofisticação diferente.

Sim.

Mas o ponto de partida, verdadeiramente, é este, não é?

Sim, aqueles e-mails mal escritos em brasileiro ou em inglês meio português, isso já não é assim.

Já não é assim.

Agora as coisas são programadas. Tenho lido sobre isso também um pouco, realmente é verdade que hoje em dia essas campanhas já são planeadas, são estruturadas, já não é uma coisa tão aleatória como isso, é uma coisa dirigida, portanto, existe um objetivo, existe um propósito e, portanto, tem uma preparação associada pra se tirar o maior benefício disso. Aquilo que poderia ser mais simples é haver uma forma diferente de segurança. Nós estamos sempre muito associados ainda à questão da password. Não sei se existe essa possibilidade, porque também tenho visto que algumas metodologias que têm sido implementadas acabam por funcionar ao contrário, por exemplo, receber a mensagem no telefone. Funciona bem a primeira vez, a segunda vez, a terceira vez, mas depois aquilo se for muito martelado, as pessoas já nem olham. E carregam no botão e seguem em frente. Parece que está sempre a correr atrás.

Estamos sempre a correr atrás do prejuízo. Esse mindset é absolutamente crítico para continuarmos a melhorar o nosso nível de maturidade na cibersegurança. E o exemplo que referiste é um exemplo interessantíssimo, ou seja, na prática, público também, a Uber. Estamos a falar de empresas que teoricamente não têm.

Dependem integralmente da infraestrutura. É o negócio.

O negócio é o IT, o IT é o negócio e a cibersegurança, digital trust, é o core do negócio, portanto, na prática, maior do que isto não é possível. Estamos a falar de uma empresa que, à partida, do ponto de vista de cibersegurança, não tem qualquer limitação de investimento. Todas as soluções implementadas e, verdadeiramente como o Luís referiu, no tema de múltiplo fator de autenticação, nós na altura recebemos o pedido e já estamos de tal forma rotinados. "Ok". E na prática, num destes casos, uma credencial de um utilizador com acesso privilegiados, foi de facto comprometida desta forma. E na prática, uma empresa que investe e que tem toda a capacidade de investimento para garantir a cibersegurança, uma arquitetura desenhada teoricamente bullet proof, mas o ponto é, na prática, há sempre este ponto. E aqui entramos verdadeiramente na discussão difícil, que é, perante isto, o que nós fazemos?

O que é que se pode fazer?

E aqui, algo que nós gostamos sempre de referir, como ponto de partida de muitas das nossas conversas, é: todas as organizações vão ser comprometidas. Todas as organizações, mais cedo ou mais tarde, vão ser alvo de um ataque bem-sucedido. Este é o ponto de partida Portanto, quem verdadeiramente anda a partilhar com as organizações que tem uma forma de evitar isto, não está sequer a ter uma discussão séria.

Ok, não é o se, é o quando.

É o quando, exatamente. Este é o ponto de partida. Além do quando, a segunda dimensão que nós temos garantidamente de trabalhar todos os dias, nós especialistas de segurança, nós diretores das organizações, nós C-level, é quando acontecer, garantir que o impacto é o menor possível, garantir que o contágio é o menor possível e garantir que nós atuamos o mais rapidamente possível. Este é o ponto de partida, porque quando temos as discussões assim, de facto, é quando estamos verdadeiramente a discutir o tema. O tema da cibersegurança é um tema, no meu entender, de gestão de risco, totalmente transversal para as organizações. É gestão de risco, ou seja, na prática, e se é gestão de risco, é um tema de board. E se é um tema de board, tal qual todas as outras componentes de risco, nós temos que gerir a este nível e temos que conseguir identificar quais são os meus ativos, quais são os meus ativos críticos, qual é o nível de risco que eu estou disposto a assumir, o que é que do ponto de vista de risco eu vou conseguir mitigar, o que é que eu, de facto, vou considerar que o investimento que é necessário fazer, não vou fazer, mas se necessitar de recuperar o serviço, qual é que é o procedimento para fazer, testar estes procedimentos. Portanto, e na prática, quando nós verdadeiramente fazemos esta análise e que passamos a ver a cibersegurança como um tema de gestão de risco, isto verdadeiramente muda o jogo. Há um livro interessantíssimo, acho que é "Cyber Security for Business", que na prática procura descomplicar um pouco o tema da cibersegurança e colocá-lo em termos que o negócio consegue compreender. E para isso nós, de facto, temos que conseguir perceber quais são os ativos, risco, criticidade, tal qual gerimos o restante risco de negócio. Portanto, e este é que é o ponto de partida, que nós, de facto, temos que mudar.

Sim. Ainda há bocado estávamos a falar sobre isso, as pessoas têm a sua informação integralmente, praticamente digital. As suas músicas, os documentos, tudo isso vive de uma maneira completamente já desmaterializada, é um facto. Uns mais, outros menos, é o normal. Uma questão que eu tenho sempre presente é: mesmo que se faça essa tal salvaguarda da informação, isto tanto funciona ao nível das pessoas como das instituições, pode haver uma intromissão neste sistema mais anterior e estarmos com os nossos backups, entre aspas, já eles próprios também contaminados? Quer dizer, é o desastre sobre o desastre. Pergunto isto porque realmente cada vez mais, às vezes, e principalmente nalgumas dessas grandes instituições, vê-se que torna-se difícil a recuperação da informação. E imagine para um privado, perder as suas fotografias todas da vida. É uma coisa tremenda, não é?

Infelizmente, acontece com mais frequência do que aquilo que nós gostaríamos. A verdade é, quando nós falamos de um ataque de cibersegurança, tipicamente, não é um processo imediato.

Pois.

Portanto, o hacker há de ter acesso às credenciais, há de eventualmente ter-

Que se compram.

Que se compram.

Ouvi dizer.

Que se compram. Esse é um aspeto interessantíssimo. A sofisticação do negócio do crime está de tal forma a evoluir que hoje há uma cadeia de valor do negócio de crime. Temos pessoas especializadas em roubar credenciais ou ter acesso a credenciais que depois colocam à venda. Temos empresas especializadas em encriptação, temos empresas especializadas no processo de resgate.

É uma indústria.

É uma indústria. E o nível de profissionalização é esse. É uma indústria que tem os mesmos recursos, e muitas vezes mais recursos, do que nós próprios. Portanto, significa que este processo é verdadeiramente crítico, sendo que, voltando ao exemplo que estávamos a referir, é um processo muitas vezes longo. Eu tenho acesso à infraestrutura do cliente, começo verdadeiramente a fazer ataques laterais, movimentos laterais para ter acesso a outras componentes e depois começa o processo de como é que eu vou verdadeiramente impactar a organização. E aqui posso encriptar os dados e quanto mais eu destruir no ecossistema, e isto implica também destruir os backups e as componentes que existem, disaster recovery e afins, significa que mais vulnerável a organização está e, à partida, mais aberta está a fazer o pagamento. Portanto, na prática, o que o Luís referiu é absolutamente verdade, que é os ataques muitas vezes são de tal forma bem-sucedidos que quando a organização tenta perceber em que ponto está, percebe que verdadeiramente não tem nada. Quando eu referi há pouco que todos nós vamos ser atacados e verdadeiramente o que nós queremos é mitigar o contágio e mitigar o alcance do ataque, esta que é a componente complexa. Na prática, quando verdadeiramente o ataque foi de tal forma que tudo que nós tínhamos verdadeiramente desapareceu, isso é que não pode acontecer.

Pronto, mas isso é fundamental. Nós temos, às vezes, a visibilidade, sai na notícia, aconteceu, como se aquilo tivesse acontecido, como se fosse uma arma que entrou no banco para assaltar o banco, e muitas das vezes é uma coisa que já vem preparada, prolongada por trás e, portanto, daí cada vez ser mais importante haver esta consciencialização permanente das empresas e das pessoas que delas fazem parte.

Consciencialização e Depois ter os mecanismos de simulação, de teste. Ou seja, na prática, tenho que recorrentemente perceber se os meus backups estão integrais e se os consigo recuperar, tenho que recorrentemente fazer simulações relacionadas com a resposta a um incidente, tenho que recorrentemente rever os meus processos e procedimentos, tenho que revisitar a arquitetura global para perceber se todas as componentes estão verdadeiramente implementadas. Tudo isto tem que ser trabalhado, tem que ser simulado e, naturalmente, tal e qual acontece na segurança física, a cibersegurança também se simula, também se trabalha. É um processo onde temos que ganhar maturidade, mas tem que se exercitar. Ou seja, na prática, o que nós apanhamos muitas vezes é clientes atacados, que nos pedem ajuda na recuperação e que verdadeiramente estão totalmente perdidos. Não sabem sequer por onde começar. E isto é que nós não podemos ter. Ou seja, nós, na prática, quando sofremos um incidente e temos que começar o processo, quer seja de resposta e contenção, quer seja de recuperação, análise forense e afins, tudo isto tem que estar trabalhado, tudo isto tem que estar verdadeiramente instrumentado, testado, qual é que é a articulação, ou seja, o que é que eu faço do ponto de vista de comunicação, quais são as equipas, uso ou não uso parceiros, quem é que está no comando, como é que eu faço a rotação das equipas. Algo que nós sabemos, mesmo olhando para os casos públicos, é que muitas dessas recuperações demoram dias, semanas, meses. O que significa é que estamos em guerra. Como é que tudo isto é gerido? É um processo que tem que ser simulado. Quem é que está no comando? É um processo que tem que estar definido. O que é que nós, por exemplo, quando uma empresa é atacada, recuperamos primeiro? Qual é a ordem de recuperação? Tudo isto tem que estar definido e acordado, tal e qual acontece com as outras componentes que estão de risco. Nós temos que ter a perfeita noção de que o processo, a maturidade de cibersegurança, vem exatamente de nós aprofundarmos e melhorarmos estes processos a nível organizacional e perceber que sendo nós uma questão de tempo até sermos atacados, garantir que temos o processo relativamente oleado e que temos as condições para responder. Este é que é verdadeiramente o desafio aqui e internacionalmente. Ou seja, na prática, se o Luís me perguntar: é diferente em Portugal dos clientes que apanhas internacionalmente? Não.

Pois.

Estamos todos na mesma guerra.

E aquilo que às vezes se ouve falar, ainda há bocado estava a me lembrar disso, que existem algumas dessas "entidades" que são patrocinadas por Estados e fala-se da China, fala-se da Rússia, mas também tem que se falar dos Estados Unidos e fala-se com certeza de muitos outros. Que têm uma capacidade de intervenção nas coisas como se não houvessem barreiras. Só mesmo com muita preparação e com muita consistência naquilo que são os passos a dar é que se consegue de alguma maneira, mas se uma pessoa tiver que ficar, é como se costuma dizer, o ladrão se quiser assaltar a casa, assalta. Não é por causa da fechadura. Arranja-se maneira de dar a volta.

Claramente. O cibercrime, hoje, é uma arma estratégica para países. Em relação a isto, não temos a mais pequena dúvida e, na prática, temos que considerar como tal. Agora, tal e qual acontece com o restante crime, a minha convicção é que nós vamos conseguir, além de tudo aquilo que já referimos até agora, melhorar o nível de segurança das organizações e dos países, aumentando o nível de cooperação e o nível de colaboração. Ou seja, na prática, este é um requisito absolutamente fundamental. O tema de segurança é um tema de ecossistema. Eu sozinho, individualmente, garantindo que o meu ecossistema está tão seguro quanto possível, não me garante segurança se tudo o que está à minha volta, se os meus parceiros e o meu ecossistema não estiverem. Significa que, na prática, se todos nós, organizações, estivermos absolutamente cientes que uma parte importante da solução vem pela colaboração e vem pela forma como as entidades e as empresas vão trabalhar em conjunto, mesmo a nível internacional. Este é um ponto importante na forma como vamos responder. E aqui há, de facto, trabalho muito interessante a ser feito. O Centro Nacional de Cibersegurança está fazendo um trabalho absolutamente fenomenal, quer em termos de formação, quer em termos de evangelização, quer em termos de colocar as empresas a trabalhar em conjunto, criando um efeito de rede para ajudar a criar entidades que conseguem ajudar as organizações, um trabalho absolutamente brutal. E depois, algo também muito interessante é começarmos a sentir a cooperação entre algumas organizações a ir para o próximo nível no que toca a cibersegurança, que é nós somos um setor. Somos um setor que tem infraestruturas críticas. Somos três ou quatro empresas a operar em Portugal. Se calhar, faz algum sentido aumentarmos o nível de cooperação em áreas como cibersegurança e perceber o que é que nós podemos, em conjunto, fazer que aumente a cibersegurança de todos nós enquanto ecossistema. E esta é a discussão que nós tivemos em algumas indústrias. E este ponto eu acredito que também vai mudar verdadeiramente o jogo, porque se o crime, do ponto de vista dos recursos que tem e do retorno que tem, está, de facto, a fazer um investimento brutal, nós do lado da defesa temos que usar as mesmas armas.

Sim.

E este é que é verdadeiramente o trabalho que todos nós temos que fazer, porque o paradoxo no cibercrime é eu consigo, com muito pouco investimento, ter um retorno absolutamente brutal. Eu consigo, com poucos recursos E recorrendo à internet e agora até com o ChatGPT, eu consigo com poucos recursos efetuar um ataque e encriptar e provavelmente ter sucesso no resgate. Portanto, se há um desequilíbrio tão grande entre o investimento que é necessário fazer versus o investimento que eu tenho que fazer do lado da defesa, naturalmente, estão criadas as condições para esta ser sempre uma discussão difícil.

Ok. Sim, senhora. Estava agora aqui a pensar realmente que quando ouvimos aquelas notícias que se houver um ataque, podem desligar a luz e coisas desse tipo, ao fim ao cabo, estamos a falar das infraestruturas básicas dos países, isso mostra que realmente estamos de alguma forma muito dependentes de todos termos um bocadinho essa atenção. Isso é verdade.

E já há muitos casos conhecidos de infraestruturas públicas críticas por este mundo fora que foram atacadas e que causaram impactos muito significativos.

Portanto, temos aqui então as empresas com papel de evangelização, formação importante. Acabam por aí também pôr as pessoas a falar sobre o assunto e a agir da maneira correta sobre o mesmo, que é fundamental. E será que as empresas portuguesas terão a capacidade de investimento necessária para fazer face? Porque isto não é um problema com a escala dos países onde ele se insere, é completamente mundial, é internacional. E, portanto, os níveis de empenho serão capazes de ser corrigidos, dependendo, por exemplo, do nível, eu não sei qual é o nível onde está Portugal, relativamente às questões da cibersegurança. Confesso que, por exemplo, sei que existe o Centro Nacional de Cibersegurança, mas não me é dada a conhecer propriamente a sua atividade prática.

Nós temos muitas coisas boas. Eu diria que o nosso ponto de partida, do ponto de vista de cibersegurança, não é diferente da maioria dos países.

Não deve ser. Nós fizemos a sede da Polícia Judiciária e durante aquele período de tempo contactámos com imensas pessoas de lá. E fiquei a saber, não fazia a mínima ideia, que a unidade que eles têm dedicada a esta parte é das mais reconhecidas a nível mundial.

É verdade.

Uma coisa completamente impressionante, que me surpreendeu, porque não há esse conhecimento.

É verdade. E isso tem um outro fator importante, que também é interessante aqui ressalvar, que é: muitos países lidam com um problema estruturante na área de cibersegurança, que é os recursos humanos e os recursos especializados na área de cibersegurança. Mas nós, felizmente, nós, Portugal, somos afortunados por ter, e digo isto sem nenhuma espécie de problema, dos profissionais de cibersegurança melhor preparados a nível mundial. E este ponto é naturalmente um dos pontos que ajuda a que o nosso nível de maturidade esteja a um nível diferente. Nós temos, na minha equipa, por exemplo, qualquer engenheiro de cibersegurança que eu coloco à frente de um cliente internacional.

Isso deve-se a quê? Temos algumas instituições a formar da maneira correta ou é a própria natureza das pessoas?

É absolutamente verdade que esta qualidade dos recursos é absolutamente transversal ao IT, ou seja, os nossos recursos na globalidade, no IT, são dos melhores do mundo e a cibersegurança acaba por vir por arrasto. Naturalmente, nós temos um core curriculum dos engenheiros de cibersegurança e naturalmente estamos agora a formar muito mais do que o que formamos no passado, mas a cibersegurança na base, mesmo do ponto de vista de currículo, tem uma base comum. E como a nossa base comum, do ponto de vista de qualidade dos recursos da IT, é absolutamente brilhante, significa que a forma como também reconvertemos e rapidamente escalamos os recursos de segurança, acaba por ser da mesma forma. Agora, que verdadeiramente os nossos recursos brilham lado a lado com os melhores do mundo, disso não tenho a mais pequena dúvida. E este é um aspeto muito importante, porque parte da forma como nós estamos em termos comparativos com o resto do mundo, tem a ver com a qualidade destes recursos.

Sim.

É um fator absolutamente fundamental. Depois entramos nas questões de capacidade de investimento e afins, que naturalmente é uma questão que surge sempre e que dizemos, ou seja, na prática, se temos os recursos ou não para investir em cibersegurança, se temos os recursos ou não para fazer o investimento de forma transversal, para melhorar a maturidade. Mas a verdade é que nós temos obrigação de ter uma discussão no que toca à cibersegurança. Eu não gosto de colocar a tónica na componente de tecnologia. Eu vejo sempre isto de uma forma integrada entre capacitação humana, processos e tecnologia. E temos sempre que ter muita atenção quando uma organização é abordada por alguém que diz que tem a solução para resolver o problema de cibersegurança, sejam prudentes. Isso, de facto, não existe, muito menos com a tecnologia e muito menos sem olhar às componentes de capacitação e perceber como é que eu vou usar a tecnologia para melhorar a minha capacidade em termos de cibersegurança.

Ou seja, não há um comprimido para resolver o problema.

Não há. E este é um ponto fundamental, porque nós, na prática, infelizmente, temos muitas empresas Que são abordadas e compram uma solução e dizem que estão tranquilos e que podem dormir descansados. E verdadeiramente, isso é que nós não podemos fazer. Nós temos a obrigação de ser transparentes e abertos com as empresas e é por isso que eu digo, todos nós vamos ser atacados. E há aqui um exemplo absolutamente espetacular, que me aconteceu há duas semanas e que reflete exatamente a visão que temos que ter relativamente à cibersegurança. Nós, num cliente internacional, o cliente pediu-nos: "Eu gostava de perceber qual é o meu nível de maturidade em termos de cibersegurança, de uma forma em que eu conseguisse pegar nesse nível de maturidade, ir partilhar com o board. Vocês dizem, são estas as dimensões, é esta a avaliação que temos, é assim que comparamos com os nossos pares. E gostaria que vocês fizessem esse trabalho. Depois desse assessment, o que é que seria uma arquitetura e uma evolução para o próximo estágio de maturidade e o que era preciso fazer do ponto de vista de investimento pra lá chegar?" Processo normal, que nós recomendamos a todas as empresas que de fato querem crescer. Tenho que perceber o ponto de partida. Fizemos o trabalho todo, ou seja, perceber os ativos, criticidade, o que é que existe do ponto de vista de disaster recovery, o que é que existe do ponto de vista de arquitetura de rede, o que é que existe do ponto de vista de controle de acessos, o que é que existe do ponto de vista de disaster recovery e backups, quando é que fizeram o último penetration testing, o que é que existe do ponto de vista de centralização de eventos, o que é que existe do ponto de vista de monitorização, o que é que existe do ponto de vista de processos e procedimentos, o que é que existe do ponto de vista de governance. Fizemos este processo todo. Fizemos, chegamos a uma dada maturidade. A maturidade até deu uma maturidade interessante, ou seja, na prática, o board e especialmente o CEO, isto era uma média empresa, tinha uma visão para o tema, o que significava que eles tinham feito muito investimento, estavam num estágio de maturidade interessante, e chegou a altura em que nós apresentamos o relatório e foi-nos pedido agora o quê? "Apresentem o relatório ao board, desde o assessment, qual é que é a recomendação do ponto de vista de evolução de estágio de maturidade e qual é o plano de ação e investimento pra lá chegar." Apresentamos, com o CFO a colocar muitas questões, com o CEO absolutamente interventivo em todos os pontos. Os departamentos de produção perfeitamente envolvidos, a perguntar: "Como é que isto impacta a componente da minha rede industrial? Como é que eu consigo proteger a minha rede industrial?" Ou seja, a ter uma discussão absolutamente espetacular, tal e qual nós defendemos que seja, que é no board, com todo o board a fazer a participação e ter a discussão. Tivemos a discussão, a reunião correu de forma perfeita. O CEO disse: "Está aprovado, ou seja, tem o nosso ok para implementar o plano." O plano, que era de capacitação do ponto de vista tecnológico, do ponto de vista de processo, mas também de capacitação do cliente. Ou seja, nós dissemos, na prática, independentemente do papel que o parceiro pode ter, nós acreditamos que vocês têm que contratar pelo menos estas posições, têm que garantir que do ponto de vista interno, têm estas capacidades. Processo completo, capacitação global, usando parceiro mais capacitação interna. E no final, o CMO, ou seja, o responsável de marketing, pergunta-me: "E com isto, posso dormir descansado?" Assim. Colocou a pergunta e ficamos todos a olhar. Eu olhei pro CEO e pronto, cabia-me a mim responder. Então eu disse: "Vão me desculpar, mas verdadeiramente, eu vou ter que dar um passo atrás, que é, nós não podemos abordar o tema da cibersegurança exatamente com o ponto de eu com isto vou dormir descansado. Não. Nós nunca vamos dormir descansados. Nós, quando muito, dormimos descansados, porque fizemos tudo aquilo que achávamos que podíamos fazer pra melhorar. Nós, na prática, não podemos assumir que vou conseguir dormir descansado." E depois voltamos à discussão e quando eu respondi isto, o CFO voltou à carga e perguntou: "Mas então eu vou fazer este investimento e vocês não me garantem que eu vou dormir descansado?" Eu disse: "Desculpem, mas se queremos ter uma discussão séria, a discussão não pode ser tida nesses termos. Não se trata de se eu tenho as condições pra dormir descansado ou não. Trata-se de se eu, enquanto organização, tenho uma maturidade diferente, se eu enquanto organização-"

Fiz tudo o que era possível.

"Fiz tudo o que era possível, se eu enquanto organização me preparei para a altura em que vou ser atacado e se quando isso acontecer, vou conseguir ter uma resposta, se realmente eu sei o que é que vou fazer no dia D, se eu vou praticar e vou simular as diferentes componentes", e esta é que é a discussão. E tivemos mais uma hora a discutir este ponto e verdadeiramente, a conclusão final foi: "Ok, então vamos dar um passo atrás. Vamos dar um passo atrás e verdadeiramente não vamos fazer tudo o que consideramos no roadmap de evolução." CFO, driven pelo CFO. E nós: "Ok, estamos de acordo." Então o CFO disse: "Se eu não consigo dormir descansado, qual é que é o exercício que faz sentido nós fazermos?" Então demos um passo atrás e foi. Nós temos aqui os diferentes ativos, temos aqui as diferentes criticidades. Quando nós começamos as diferentes estratégias de mitigação, o investimento associado, o exercício que tem sempre que ser feito, mais uma vez, gestão de risco, que é algo que os CFOs compreendem perfeitamente. Chegamos aqui e assumimos, ok, estas componentes Eu eventualmente estou disposto a assumir o risco.

Ok.

E a partir do momento em que eu estou disposto a assumir o risco, o jogo já é um jogo totalmente diferente. E é isto que nós temos que garantidamente tentar passar, porque esta é uma discussão séria e transparente.

Sim, isso realmente é diferente um pouco da atitude da pessoa que pensa que compra uma solução e resolveu o problema. E não é, é uma questão de mentalidade perante o assunto. A mentalidade perante o assunto obriga, e mesmo quando se faz gestão de risco, faz-se de qualquer das maneiras. Pesa-se os prós e os contras e assume-se, porque a proteção total não existe. Ouve-se falar inclusive em sistemas quase que militares e que são atacados, não vale a pena ir por aí. Mas a pergunta do "posso dormir descansado" é tramada.

É tramada, mas na prática nós não podemos. E esse pra mim é um tema muito importante, que é nós, na discussão, temos que verdadeiramente ser transparentes, porque só assim conseguimos ajudar os clientes a aumentar a maturidade. Vou dar um exemplo adicional simples do que aconteceu. Penso que foi um cliente hospitalar na Bélgica. Na prática, no processo de validação de todos os temas relacionados com segurança e afins, o teste que eles fizeram foi: compraram uma enfermeira e pediram à enfermeira para colocar um USB na máquina. E na prática, por 400 €, convenceram uma enfermeira a meter uma pen na máquina. Isto foi feito de forma concertada, ou seja, foi um exercício feito por uma empresa externa, mas que na prática quando queremos testar ao limite as nossas vulnerabilidades, tem que se testar ao limite. Isto é um exemplo que na prática temos uma arquitetura perfeita e verdadeiramente temos alguém que consegue por 400 € pedir alguém para colocar uma pen.

Acaba por ser até um tema transversal, mais uma vez, inclusive dentro das empresas em várias áreas, porque isso é um problema de recursos humanos.

Pronto, é totalmente. Por isso é que quando nós dizemos que verdadeiramente o tema de cibersegurança é um tema de gestão de risco, isto eleva a discussão para um ponto em que naturalmente, todos os C-level da organização têm que estar envolvidos. E naturalmente o responsável de Recursos Humanos. Como é que nós podemos dizer que 70% dos casos entram pelo fator humano e não ter o responsável de Recursos Humanos totalmente envolvido?

Sim.

Ou como é que nós podemos estar a falar de cibersegurança e de gestão de risco, sem ter o diretor de Marketing envolvido e de comunicação? Na prática, é este o ecossistema que estamos a discutir. Portanto, eu diria que, na prática, se nós tivermos que considerar duas mensagens-chave nesta nossa agradável conversa, primeiro, temos que colocar o tema da cibersegurança na perspectiva de gestão de risco abrangente das organizações, primeiro ponto. Segundo ponto, temos que verdadeiramente ter aquilo que nós consideramos, eu gosto muito de usar o termo de "security and privacy by design". É uma filosofia em que tentamos que a componente de segurança esteja embebida em todos os processos da organização. E uma boa forma de começarmos é todos nós, C-level e diretores, percebermos qual é o ponto de maturidade da empresa, termos todos uma visão clara onde é que nós estamos hoje, como é que isto compara com os nossos peers e qual é que devia ser a nossa ambição. Se isto for partilhado pelo board das organizações, já é um passo para conseguirmos melhorar a cibersegurança das nossas organizações.

Retive também aqui uma outra ideia que é o trabalhar em conjunto. As instituições trabalharem em conjunto e haver também um pouco essa noção. E isso é muito importante, eu considero que isso é fundamental, mesmo em várias indústrias que temos em Portugal, vários setores, às vezes parece que não se trabalha em conjunto, trabalha-se muito em concorrência. E se calhar beneficiaríamos, não só agora no campo da cibersegurança, mas mesmo noutros campos, trabalhar um pouco mais em conjunto, porque é fundamental, porque realmente faz parte da mitigação dos riscos que temos à nossa frente.

É um tema de ecossistema, estou totalmente de acordo. E numa nota que não tem nada a ver com cibersegurança, eu que de fato trabalho muito mercados internacionais e tive uma experiência internacional muito grande, do ponto de vista do país, isso é claramente algo que eu identifico. Ou seja, os outros países, nomeadamente quando saem do país e estão a explorar oportunidades internacionais, têm uma predisposição para cooperarem com outras empresas para ganharem escala, que muitas vezes não vemos nas organizações portuguesas. E esse fato tem um handicap que limita e muito o nosso crescimento e a nossa ambição internacional.

Nós na nossa área verificamos o mesmo também. É uma coisa que faz um pouco de impressão, porque perdem-se sinergias.

Faz sentido. Obrigado, Luís.

Muito obrigado, foi uma excelente conversa.

Foi um prazer.

Fico com mais umas luzes sobre o tema, que é sempre importante.

Voltamos no próximo ano para revisitar 2023.

Exatamente, ver como é que foi.

Obrigado.

Obrigado.

Este foi o "Unlocker" de hoje. Outros episódios estão disponíveis no Spotify, no Google Podcast, no canal do YouTube e no website da S mais A. Obrigada por nos escutarem.